NIS2 un piegādes ķēdes drošība: kā novērtēt IT piegādātājus, integratorus un apakšuzņēmējus

Piegādes ķēdes drošība nesākas ar vienādas anketas nosūtīšanu visiem sadarbības partneriem. Vispirms jānosaka, no kuriem piegādātājiem ir atkarīgi organizācijas procesi, kāda piekļuve tiem piešķirta un kādas sekas var radīt pakalpojuma nepieejamība, incidents vai novēlota reakcija. Tikai pēc tam iespējams pamatoti noteikt novērtēšanas apjomu, pieprasāmos pierādījumus, līguma nosacījumus un uzraudzības kārtību. Pretējā gadījumā organizācija pārbauda dokumentu formālo pilnīgumu, nevis faktiskos riskus, kas saistīti ar IT pakalpojumiem, integratoriem un apakšuzņēmējiem.

Piegādātājs kā organizācijas noturības daļa

Ar piegādātāju saistīto risku nenosaka tikai ievainojamības tā sistēmās vai tehnisko drošības pasākumu līmenis. Risks vispirms rodas tur, kur ārējs pakalpojums, personāls, programmatūra vai infrastruktūra nodrošina organizācijas procesa nepārtrauktību. Tādēļ uzraudzības apjomu nevajadzētu noteikt pēc līguma vērtības, sadarbības partnera lieluma vai tikai pēc iegādātā pakalpojuma veida. Izšķirošas ir pakalpojuma nepieejamības, konfidencialitātes pārkāpuma, datu integritātes zuduma vai novēlotas reaģēšanas uz incidentu iespējamās sekas.

Process jāsāk ar skaidru atbildības sadalījumu. Biznesa procesa īpašnieks identificē atkarību un nosaka tās darbības nozīmīgumu. Informācijas drošības funkcija novērtē apdraudējumu un pakļautību riskam, iepirkumu funkcija iekļauj prasības atlases kritērijos un līgumā, savukārt IT funkcija pārbauda piekļuves apjomu un tehniskos risinājumus. Jānosaka arī tas, kurš klasificē risku, apstiprina atkāpes no prasībām, uzrauga līguma izpildi un koordinē sadarbību incidenta laikā. Bez šāda sadalījuma piegādātāja anketa paliek dokuments bez īpašnieka, bet atbildība par risku izplūst starp organizācijas struktūrvienībām.

Neliels integrators, kuram ir pastāvīga attālināta un privileģēta piekļuve ražošanas videi, var radīt lielāku apdraudējumu nekā liels biroja pakalpojumu sniedzējs, pat ja līguma vērtība ir ievērojami zemāka. Integratora kļūme, tehniskā konta pārņemšana vai tā personāla nepieejamība var tieši apturēt ražošanu vai apgrūtināt tās atjaunošanu. Tādēļ padziļināti jāvērtē galvenokārt tie sadarbības partneri, kuri ir saistīti ar kritiskajiem procesiem, kuriem ir attālināta vai privileģēta piekļuve, kuri apstrādā nozīmīgu informāciju vai piedalās incidentu pārvaldībā un darbības atjaunošanā.

Tikai pēc šo atkarību apzināšanas procesu var korekti sasaistīt ar NIS2 prasībām par risku pārvaldību, piegādes ķēdes drošību un vadības atbildību, ņemot vērā piemērojamo valsts tiesību aktu tvērumu. Vadībai nav jāaizstāj tehniskais novērtējums. Tās uzdevums ir apstiprināt piegādātāju klasifikācijas principus, risku īpašnieku noteikšanas kārtību un atkāpju apstiprināšanas procesu. Noderīgi rādītāji ir no ārējiem pakalpojumiem atkarīgo kritisko procesu skaits, kā arī to piegādātāju skaits, kuriem ir privileģēta vai attālināta piekļuve. Šo lēmumu plašāks konteksts aplūkots rakstā NIS2 vadības praksē: kā prasības pārvērst lēmumos, atbildībā un organizācijas reālā noturībā.

Segmentēšana pēc ietekmes un piekļuves

Vienota anketa visiem sadarbības partneriem nenodrošina riskam samērīgu novērtējumu. Segmentācijā jāapvieno pakalpojuma nepieejamības ietekme, apstrādājamās informācijas veids, piešķirto tiesību apjoms, iespēja incidentam izplatīties organizācijas vidē un piegādātāja aizstājamība. Klasifikācijas pamatā jābūt darbības ietekmes analīzē noteiktajam laikam, cik ilgi process var darboties bez attiecīgā pakalpojuma, kā arī atkarīgo procesu un atrašanās vietu skaitam. Līguma vērtība un piegādātāja lielums ir tikai papildu kritēriji, jo tie neatspoguļo tehniskās atkarības, pieļaujamo dīkstāves ilgumu vai pakalpojuma drošas aizstāšanas izmaksas.

Pamata novērtējuma, paplašinātā novērtējuma un audita robežvērtības jāsasaista ar izmērāmiem nosacījumiem. Audits var būt nepieciešams piegādātājam, kura darbības pārtraukums izraisītu pieļaujamā dīkstāves laika pārsniegšanu, kuram ir privileģēta piekļuve vai kuru nevar aizstāt bez būtiskām tehniskām izmaiņām. Paplašināts novērtējums ir piemērots ierobežotas piekļuves, aizsargājamas informācijas apstrādes vai tālāku piegādes ķēdes atkarību gadījumā. Pārējiem sadarbības partneriem var piemērot pamata novērtējumu, ja vien tie nerada kumulatīvu risku.

Personāla vadības sistēmas piegādātāja novērtējumā uzsvars jāliek uz informācijas klasifikāciju, piekļuves tiesībām un datu atjaunošanu. Automatizācijas integrators vispirms jāvērtē pēc attālinātās piekļuves, konfigurācijas izmaiņu vadības un spējas sniegt atbalstu pēc incidenta. Iekārtu apkopes apakšuzņēmējam var nebūt piekļuves sistēmām, tomēr tā nepieejamība var apturēt procesu rezerves daļu, kompetences vai dokumentācijas trūkuma dēļ. IT sistēmu, operacionālo tehnoloģiju un ražošanas nepārtrauktības savstarpējās atkarības plašāk aplūkotas rakstā NIS2 ražošanas uzņēmumiem: uz ko tā attiecas, kādus pienākumus nosaka un kā sagatavot organizāciju, neaprobežojoties tikai ar IT.

Klasifikācija nedrīkst palikt nemainīga visā sadarbības laikā. Tā jāpārskata, mainoties pakalpojuma apjomam, piekļuvei, arhitektūrai, apakšuzņēmējiem, apstrādājamajai informācijai vai procesa nozīmīgumam. Klasifikācija arī periodiski jāapstiprina, pat ja līguma nosacījumi nav mainījušies. Tas ļauj piemērot faktiskajam riskam atbilstošu pienācīgās rūpības līmeni un pierādīt, ka piegādes ķēdes uzraudzība balstās uz ietekmes novērtējumu, nevis formālu sadarbības partneru iedalījumu.

Pierādījumi, nevis deklarācijas

Piegādātāja novērtējumam jāaptver kontroles pasākumu faktiskā izpilde, nevis tikai politiku un procedūru esība. Jautājumi jāattiecina uz piekļuves, ievainojamību un izmaiņu pārvaldību, rezerves kopiju veidošanu, notikumu uzraudzību, reaģēšanu uz incidentiem, darbības nepārtrauktību, personāla drošību un apakšuzņēmēju uzraudzību. Atbilde “mums ir ieviesta procedūra” nav pietiekama, ja tajā nav norādīts darbības īpašnieks, kontroles biežums, rezultātu dokumentēšanas veids un rīcība atkāpju gadījumā. Brīdinājuma pazīme ir arī vispārīgi materiāli, kas nav sasaistīti ar pasūtīto pakalpojumu, tā atrašanās vietu vai pakalpojuma sniegšanas vidi.

Pirms novērtējuma sākšanas katrai piegādātāju klasei jānosaka minimālais pierādījumu kopums. Zemāka riska gadījumā var pietikt ar procesa īpašnieka atbildēm, kuras pamato aktuāli dokumenti un ierakstu piemēri. Pieaugot kritiskuma līmenim, jāpieprasa pārbaužu rezultāti, darbības ieraksti, kontroles pasākumu izpildes rādītāji un neatkarīgu novērtējumu rezultāti. Kritisku pakalpojumu gadījumā var būt pamatota tehniskā intervija, attālināts novērtējums vai audits piegādātāja objektā. Metode jāizvēlas, ņemot vērā iespēju pārbaudīt drošības pasākumus bez tiešas piekļuves infrastruktūrai un kļūdainas deklarācijas iespējamās sekas. Ieteicams reģistrēt nozīmīga pakalpojuma pēdējās atjaunošanas pārbaudes datumu un rezultātu, kā arī ievainojamību novēršanas laiku atbilstoši piegādātāja izmantotajiem kritiskuma līmeņiem.

Deklarācija par rezerves kopiju veidošanu labi parāda atšķirību starp apliecinājumu un pierādījumu. Tā nepaskaidro, vai kopijas ir nodalītas no produkcijas vides, kurš tās var dzēst, cik bieži tiek veikti atjaunošanas testi un kāds bija pēdējā testa rezultāts. Tā arī nenosaka, kurš atbild par visa pakalpojuma atjaunošanu — infrastruktūras piegādātājs, lietojumprogrammas ražotājs, integrators vai klients. Tādēļ atbilstošs pierādījums ir ne tikai noteikumu apraksts, bet arī pēdējās pārbaudes ieraksts, atjaunoto datu un funkciju apjoms, konstatētās neatbilstības un apstiprinājums par kļūmju cēloņu novēršanu. Izvairīgu atbildi parasti raksturo datumu, tvēruma un atbildības trūkums vai neiespējamība sasaistīt pierādījumu ar konkrēto pakalpojumu.

Pārvaldības sistēmas sertifikāts ir vērtīgs papildu pierādījums, taču tas neatceļ pienācīgas rūpības pienākumu. Jāpārbauda sertifikāta darbības joma, derīguma termiņš, aptvertās atrašanās vietas un pakalpojumi, kā arī to atbilstība iepirkuma priekšmetam. Centrālā biroja sertifikācija var neaptvert datu apstrādes centru, uzturēšanas komandu vai apakšuzņēmēju, kas izpilda būtisku pakalpojuma daļu. Sertifikātu var izmantot kā vienu no pamata novērtējuma elementiem. Kritiskas atkarības gadījumā tas tomēr jāpapildina ar darbības pierādījumiem un būtisku trūkumu gadījumā arī ar auditu. Šāda drošības pasākumu sasaiste ar atbildību par procesiem aplūkota arī rakstā TISAX pārvaldības sistēmas pārstāvim un kvalitātes inženierim — kā sasaistīt informācijas drošību ar uzņēmuma procesiem; drošība nedrīkst palikt tikai IT dokumentācijas sastāvdaļa.

Līgums kā vadības mehānisms

Līgumā ar kritisku piegādātāju riska novērtējuma rezultāti jāpārvērš izpildāmos un pārbaudāmos pienākumos. Ar konfidencialitātes klauzulu vien nepietiek. Nosacījumiem jāaptver ziņošana par notikumiem, piekļuve informācijai, kas nepieciešama to ietekmes novērtēšanai, piegādātāja dalība analīzē un darbības atjaunošanā, saskaņoto drošības pasākumu uzturēšana, izmaiņu pārvaldība un turpmāku apakšuzņēmēju piesaistes kārtība. Konkrētajam pakalpojumam jāvienojas arī par pieejamības, atjaunošanas un glabāšanas parametriem, kuri atbilst biznesa procesa prasībām, nevis tikai piegādātāja standarta pakalpojuma aprakstam.

Būtiski ir noteikt par drošības prasību pārrunām atbildīgo personu un atkāpju no līguma prasībām apstiprināšanas robežas. Iepirkumu funkcija var vadīt līguma slēgšanas procesu, taču tai nevajadzētu vienpersoniski izlemt, vai atbildības ierobežošana, atteikšanās no audita tiesībām vai neierobežota pakalpojumu nodošana apakšuzņēmējiem ir pieņemama. Šādas atkāpes atkarībā no riska veida jāvērtē procesa īpašniekam, informācijas drošības, darbības nepārtrauktības un juridiskajai funkcijai. Ja dominējošs piegādātājs nepiekrīt klienta noteikumiem, lēmumam nevajadzētu aprobežoties ar tā standarta nosacījumu bezierunu pieņemšanu. Var izvērtēt aizstājošus drošības pasākumus, ierobežot pakalpojuma apjomu, pastiprināt uzraudzību vai formāli akceptēt risku, dokumentējot pamatojumu un nosakot riska īpašnieku.

Klauzulai par paziņošanu “bez nepamatotas kavēšanās” ir maza darbības vērtība, ja nav noteikts ziņošanas kanāls, minimālais informācijas apjoms, kontaktpunkti un personas, kurām ir tiesības pieņemt lēmumus. Saskaņotajam paziņošanas termiņam jānodrošina organizācijai reāla iespēja novērtēt notikumu un izpildīt savus pienākumus. Piegādātājam jāsniedz vismaz notikuma apraksts, informācija par skartajiem pakalpojumiem un datiem, zināmā vai paredzamā ietekme, veiktie ierobežošanas pasākumi un nākamās informācijas atjaunināšanas termiņš. Līgumam jāregulē arī piekļuve tehniskajiem ierakstiem un attiecīgo speciālistu iesaiste cēloņu analīzē un pakalpojuma atjaunošanā.

Arī pašas audita tiesības vēl nenodrošina efektīvu kontroli. Ja līgumā nav noteikti audita uzsākšanas nosacījumi, piekļuves apjoms pierādījumiem, konfidenciālas informācijas aizsardzība, izmaksu sadalījums, kā arī korektīvo darbību saskaņošanas un izpildes termiņi, šāds noteikums var izrādīties neīstenojams tieši incidenta laikā. Klauzulu apjomam jābūt atkarīgam no piegādātāja kritiskuma un pakalpojuma aizstāšanas iespējām. Pārmērīgs prasību katalogs, kura izpildi neviens vēlāk neuzrauga, rada kontroles šķietamību un palielina līguma administrēšanas izmaksas. Ir lietderīgi mērīt to atkāpju skaitu, kurām nepieciešama formāla riska akceptēšana, kā arī saistību izpildes savlaicīgumu.

Līgumu izmaiņu izmaksas neaprobežojas ar jurista darbu. Tās ietver atkārtotu piegādātāju novērtēšanu, sarunas, auditus, saskaņoto parametru uzraudzību un papildu drošības pasākumu ieviešanu. Šīs atkarības jāņem vērā budžetā, kas aprakstīts materiālā Cik maksā NIS2 un uKSC ieviešana — kā izveidot audita, dokumentācijas, apmācību un drošības pasākumu budžetu bez dārgām kļūdām. Līgums pilda savu funkciju tikai tad, ja organizācija ir noteikusi uzraudzības īpašnieku, apkopo pierādījumus par pienākumu izpildi un ir paredzējusi rīcību pakalpojuma maiņas vai izbeigšanas gadījumā.

Uzraudzība pēc līguma parakstīšanas

Sākotnējais novērtējums ātri zaudē aktualitāti, ja sadarbības laikā mainās pakalpojuma apjoms, risinājuma arhitektūra, piegādātāja īpašnieks, datu apstrādes vieta, apakšuzņēmēji vai piekļuves līmenis sistēmām un informācijai. Tādēļ uzraudzībai jāietver periodiskas pārskatīšanas, kuru biežums izriet no pakalpojuma kritiskuma, kā arī noteiktu notikumu izraisīta atkārtota novērtēšana. Piegādātājiem ar lielu ietekmi uz darbības nepārtrauktību nepieciešama biežāka kontrole nekā viegli aizstājamu pakalpojumu sniedzējiem bez privileģētas piekļuves.

Uzraudzības ciklam jānosaka īpašnieks, eskalācijas robežvērtības un obligātie ieraksti. Nepietiek tikai ar pakalpojuma līmeņa rādītāju pārbaudi. Tie jāsasaista ar informāciju par incidentiem, nepārtrauktības un atjaunošanas pārbaužu rezultātiem, korektīvo darbību statusu, izmaiņām apakšuzņēmēju sastāvā un pazīmēm, kas norāda uz piegādātāja darbības spēju pasliktināšanos. Ārpuskārtas atkārtotu novērtējumu vajadzētu uzsākt vismaz šādos gadījumos:

• būtiskas pakalpojuma apjoma vai piekļuves izmaiņas;
• datu apstrādes pārvietošana;
• tāda apakšuzņēmēja maiņa, kas ietekmē pakalpojuma izpildi;
• atkārtoti pakalpojuma parametru pārkāpumi;
• neatbilstības nenovēršana noteiktajā termiņā;
• notikums, kas norāda uz nepietiekamu reaģēšanas spēju.

Piegādātājs, kas līguma slēgšanas laikā novērtēts pozitīvi, pēc gada var izmantot jaunu datu centru vai nodot daļu pakalpojuma apakšuzņēmējam. Nosaukums un deklarētais pakalpojuma apjoms paliek nemainīgs, taču mainās tehniskās atkarības, datu apstrādes vieta, atjaunošanas veids un pierādījumu pieejamība. Ja nav mehānisma šādu izmaiņu paziņošanai, organizācija uzrauga vēsturisko, nevis faktisko riska profilu. Noderīgi rādītāji ir pakalpojuma apjoma, piekļuves vai apakšuzņēmēju izmaiņu skaits, kuru dēļ vajadzīgs atkārtots novērtējums, incidentu un pakalpojuma parametru pārkāpumu skaits, kā arī saskaņotajā termiņā slēgto korektīvo darbību īpatsvars.

Konstatēta neatbilstība ne vienmēr nozīmē automātisku sadarbības izbeigšanu. Lēmumā jāņem vērā neatbilstības ietekme, tās novēršanai nepieciešamais laiks, iespēja aizstāt pakalpojumu un pārejas perioda risks. Organizācija var pieprasīt piegādātājam veikt korektīvās darbības, ieviest kompensējošus drošības pasākumus, uz laiku akceptēt risku, nosakot nākamās pārskatīšanas termiņu, ierobežot piekļuves apjomu vai aktivizēt piegādātāja aizstāšanas plānu. Katram risinājumam jānosaka lēmuma īpašnieks, termiņš, slēgšanas kritērijs un pierādījums, kas apstiprina ne tikai uzdevuma izpildi, bet arī tā efektivitāti.

Visa mehānisma efektivitāte periodiski jāpārbauda, izmantojot ierakstus, reaģēšanas izmēģinājumus un organizācijas spēju pieņemt lēmumus pēc riska izmaiņām. Plānojot šādu pārbaudi, noderīgs atskaites punkts ir materiāls NIS2 audits ražošanas uzņēmumā — kā pārbaudīt organizācijas gatavību jaunajiem pienākumiem. Auditā jāapstiprina ne tikai pārskatīšanas grafika esība, bet arī tas, vai brīdinājuma signāli izraisa eskalāciju, neatbilstības tiek slēgtas atbilstoši noteiktajiem kritērijiem un piegādātāju riski joprojām ir sasaistīti ar organizācijas procesu nepārtrauktību.

Auditam gatava piegādātāju novērtēšanas programma

Piegādātāju uzraudzības programma ir gatava auditam tad, ja tā darbojas kā vienots lēmumu pieņemšanas mehānisms, nevis anketu, līguma klauzulu un izkliedētu reģistru kopums. Tās minimālais tvērums ietver piegādātāju reģistru ar procesu un tehniskajām atkarībām, segmentācijas kritērijus, lēmumu pieņemšanas lomas, prasības atsevišķām piegādātāju klasēm, pierādījumu izvērtēšanu, līgumu noteikumus, uzraudzību, eskalāciju un rīcību sadarbības izbeigšanas gadījumā. Auditu programmā un risku reģistrā jāizmanto vienādas klasifikācijas, īpašnieku lomas un riska akceptēšanas kritēriji.

Ja resursi ir ierobežoti, pilotgrupā jāiekļauj piegādātāji, kuri apkalpo kritiskos procesus, kuriem ir privileģēta piekļuve vai kurus ir grūti aizstāt. Pēc tam tvērumu var paplašināt atbilstoši riska līmenim un pirmo novērtējumu rezultātiem. Mēģinājums vienlaikus aptvert visu sadarbības partneru bāzi parasti palielina administratīvās izmaksas, neradot samērīgu ieguvumu. Vadībai jāapstiprina novērtēšanas secība, trūkumu novēršanas plāns un budžets, kā arī jāpieņem lēmumi par riskiem, kas pārsniedz noteiktās operacionālās pilnvaras.

Auditā pārliecinošāks par apjomīgu procedūru ir izsekojams viena lēmuma ceļš: piegādātāja klasifikācija, prasību pamatojums, izvērtētie pierādījumi, atbilstoši līguma nosacījumi, uzraudzības un neatbilstību ieraksti, kā arī formāla riska akceptēšana vai lēmums par korektīvajām darbībām. Gatavību var mērīt pēc programmā klasificēto un novērtēto piegādātāju īpatsvara, kritisko piegādātāju novērtēšanas grafika izpildes un to risku skaita, kuriem nav noteikts īpašnieks, reaģēšanas termiņš vai apstiprināts lēmums.

Atsaucēm uz normatīvajām un tiesiskajām prasībām jānoslēdz procesa izstrāde, nevis jāaizstāj tā loģika. NIS2 prasības jāpārvērš konkrētā atbildībā, kritērijos, ierakstos un pārbaudāmos pierādījumos, ņemot vērā piemērojamos valsts ieviešanas tiesību aktus un to, kādā apjomā tie attiecas uz organizāciju. Šādas pieejas nozares piemērs ir ISO 19443 — piekļuve Polijas kodolenerģētikas piegādes ķēdei, kur piegādātāju kvalificēšana un uzraudzība veido daļu no organizācijas spējas droši izpildīt prasības.